[논문 리뷰] Recommendations for Model-Driven Paradigms for Integrated Approaches to Cyber Defense

Mona Lange, Alexander Kott외 7명|arXiv (Cornell University)|2017. 03. 09.

Scientific Computing and Data Management참고 문헌 29인용 수 4

한 줄 요약

이 논문은 시스템 공학 원리를 적용하여 개인 호스트에서 기업 수준의 미션에 이르기까지 사회기술 시스템을 대규모로 모델링함으로써 통합된 사이버 방어를 위한 모델 기반 패러다임을 제안한다. 이는 재사용 가능한 원칙 기반 모델을 통해 사이버 위협의 체계적 분석, 취약성 완화 및 최적의 대응 전략을 가능하게 하여, 침입 탐지, 증거 확보, 복구와 같은 방어 분야 간의 복원력과 협업을 크게 향상시킨다.

ABSTRACT

The North Atlantic Treaty Organization (NATO) Exploratory Team meeting, "Model-Driven Paradigms for Integrated Approaches to Cyber Defense," was organized by the NATO Science and Technology Organization's (STO) Information Systems and Technology (IST) panel and conducted its meetings and electronic exchanges during 2016. This report describes the proceedings and outcomes of the team's efforts. Many of the defensive activities in the fields of cyber warfare and information assurance rely on essentially ad hoc techniques. The cyber community recognizes that comprehensive, systematic, principle-based modeling and simulation are more likely to produce long-term, lasting, reusable approaches to defensive cyber operations. A model-driven paradigm is predicated on creation and validation of mechanisms of modeling the organization whose mission is subject to assessment, the mission (or missions) itself, and the cyber-vulnerable systems that support the mission. This by any definition is a complex socio-technical system (of systems), and the level of detail of this class of problems ranges from the level of host and network events to the systems' functions up to the function of the enterprise. Solving this class of problems is of medium to high difficulty and can draw in part on advances in Systems Engineering (SE). Such model-based approaches and analysis could be used to explore multiple alternative mitigation and work-around strategies and to select the optimal course of mitigating actions. Furthermore, the model-driven paradigm applied to cyber operations is likely to benefit traditional disciplines of cyber defense such as security, vulnerability analysis, intrusion prevention, intrusion detection, analysis, forensics, attribution, and recovery.

연구 동기 및 목표

• 기존의 비체계적이고 비재사용 가능한 기법에 대체하여 체계적이고 재사용 가능한 접근 방식을 도입함으로써 사이버 방어 분야의 부족을 보완한다.
• 미션, 조직 및 사이버 취약 인프라를 포함한 복잡한 사회기술 시스템을 포괄적으로 모델링할 수 있도록 한다.
• 침입 탐지, 증거 확보, 복구와 같은 다양한 사이버 방어 분야를 통합된 모델링 프레임워크 아래 통합한다.
• 다양한 수준의 시스템 추상화에서 여러 가지 완화 전략을 시뮬레이션하고 분석할 수 있도록 함으로써 의사결정 지원을 가능하게 한다.
• 형식화된 모델링 기준을 통해 장기적이고 확장 가능하며 상호운용 가능한 사이버 방어 운영의 기반을 마련한다.

제안 방법

• 미션 핵심 시스템과 그 사이버 의존성의 구조, 기능 및 상호작용을 포괄하는 모델 기반 패러다임을 개발한다.
• 시스템 공학(SE) 원칙을 적용하여 호스트 수준의 이벤트에서부터 기업 전체 수준의 미션 기능에 이르기까지 다양한 추상화 수준에서 시스템을 모델링한다.
• 형식적 모델링 기법을 사용하여 조직의 미션, 시스템 구성 요소 및 사이버 위협을 일관되고 분석 가능한 형식으로 표현한다.
• 모델 기반 시뮬레이션을 통합하여 다양한 완화 전략을 평가하고 최적의 방어 조치를 식별한다.
• 방어 운영 전반에서 재사용 가능한 모델을 활용하여 일관성 향상, 중복 제거 및 대응 협업 향상을 도모한다.
• 모델링 프레임워크를 기존 사이버 방어 영역(예: 취약성 분석, 침입 방지, 사고 복구)과 조율한다.

실험 결과

연구 질문

• RQ1 모델 기반 패러다임은 사이버 방어 전략의 체계적 설계 및 평가를 어떻게 향상시킬 수 있는가?
• RQ2 어떤 모델링 접근 방식이 미션, 시스템 및 네트워크 수준에서 복잡한 사회기술 시스템을 효과적으로 표현할 수 있는가?
• RQ3 모델 기반 분석은 사이버 방어 운영에서의 의사결정을 어떻게 향상시킬 수 있는가?
• RQ4 기존의 사이버 방어 분야(예: 침입 탐지, 증거 확보) 간에 재사용 가능한 모델을 어떻게 통합할 수 있는가?
• RQ5 실제 미션 중심 환경에서 모델 기반 방법을 도입할 때의 주요 과제는 무엇인가?

주요 결과

• 모델 기반 접근 방식은 미션 및 시스템 의존성의 형식화를 통해 사이버 방어 운영의 체계적이고 재사용 가능한 분석을 크게 향상시킨다.
• 사이버 방어에 시스템 공학 원리를 통합함으로써 호스트 이벤트에서부터 기업 수준의 미션에 이르기까지 다양한 추상화 수준에서의 모델링이 가능해진다.
• 모델 기반 시뮬레이션은 다양한 위협 시나리오에 걸쳐 최적의 완화 전략을 평가하고 선택하는 데 기여한다.
• 이 패러다임은 침입 탐지, 증거 확보, 복구와 같은 사이버 방어 분야 간의 협업과 상호운용성을 향상시킨다.
• 재사용 가능한 검증된 모델은 비체계적인 대응에 대한 의존도를 감소시키고 장기적이고 확장 가능한 사이버 복원력을 지원한다.
• 이 접근 방식은 체계적이고 분석 가능한 방식으로 복잡하고 대규모의 사이버 방어 과제를 해결하기 위한 원칙 기반의 기반을 제공한다.